오늘의 보안 뉴스 - 2026-10-07

오늘의 브리핑

국회 국정감사에서 AI 시대 사이버보안 예산 삭감과 컨트롤타워 부재가 도마에 올랐습니다.

한국과 대만의 메일 보안 장비를 겨냥한 정교한 리눅스 백도어 위협이 발견되었습니다.

금융권과 대형 종교기관을 겨냥한 연쇄 해킹으로 대규모 개인정보 유출 피해가 발생했습니다.

보안뉴스

[인사] 개인정보보호위원회

개인정보보호위원회가 신임 위원 위촉 소식을 발표했다.

개인정보보호위원회는 위원 이성엽, 위원 박민철, 위원 양동훈을 새롭게 위촉했다고 밝혔다. 해당 인사의 임기는 2026년 10월 7일부터 시작된다. 이번 위촉은 개인정보 보호 및 규제와 관련된 위원회의 정책 심의 및 의결 기능을 강화하기 위한 조치로 풀이된다. 위원회는 국내 개인정보 보호 정책을 총괄하는 중앙행정기관이다. 본 기사는 인사 발령 사항만을 간략하게 전하고 있다.

“대한민국이 공격당하고 있다”… 국정감사 달군 사이버보안 공백

국회 과학기술정보방송통신위원회 국정감사에서 AI 시대 사이버보안 공백과 예산 삭감이 집중 질타를 받았다.

6일 열린 국회 과학기술정보방송통신위원회 국정감사에서는 고도화되는 AI 사이버 위협에 대응할 예산이 부족하고 플랫폼 기업들의 정보보안이 부실하다는 지적이 제기됐다. 여야 의원들은 연쇄적인 해킹 사고를 언급하며 범정부 차원의 컨트롤타워가 부재하고 정보보호 예산이 오히려 삭감되었다고 비판했다. 최형두 국민의힘 의원은 한국전력 2만 4000명 정보 유출과 정부24 사태를 언급하며 해킹 사고가 늘고 있음에도 정보보호 예산 비중이 줄고 있다고 지적했다. 특히 차세대 보안 체계인 제로트러스트 관련 예산이 62억 원에서 45억 원으로 줄어든 점이 도마 위에 올랐다. 기사는 정부 차원의 실효성 있는 보안 예산 편성와 대책 마련이 시급함을 강조했다.

스팸 차단 장비인 척 숨어든 리눅스 백도어… 한국과 대만 메일 장비 노렸다

리눅스 백도어가 한국과 대만의 이메일 보안 장비를 감염시킨 뒤 정상 프로그램으로 위장해 숨어든 사실이 드러났다.

보안 기업 래피드7인텔리전스는 한국과 대만의 이메일 보안 장비를 겨냥한 두 갈래의 리눅스 백도어 공격을 공개했다. 하나는 국내 스팸 차단 솔루션을, 다른 하나는 대만 메일 보안 장비를 흉내 내는 방식을 사용했다. 이들은 단순한 이름 도용을 넘어 감염시킨 장비의 파일 이름, 방화벽이 허용하는 통신, 고유한 작동 습관까지 철저히 모방했다. 특히 한국 쪽 공격에 쓰인 BPF도어(BPFdoor)는 보안 업계에 이미 알려진 위협 도구로, 정상적인 시스템 프로세스로 위장해 탐지를 피하는 특징이 있다. 공격자들은 이러한 방식을 통해 보안 솔루션의 감시를 피해 장비 내부에 은밀하게 잠입했다. 기사는 네트워크 장비와 보안 설루션을 겨냥한 지능형 지속 위협(APT)에 대한 철저한 모니터링을 권고했다.

2003년 이후 거쳐 간 누구나 피해 가능… 덴마크공대, 최대 20만명 정보 노출 우려

덴마크공과대학교(DTU)가 계정 탈취 공격을 받아 전·현직 구성원 최대 20만 명의 정보가 노출됐을 우려가 제기됐다.

덴마크공과대학교(DTU)는 최근 계정 탈취 공격을 받아 전·현직 구성원 최대 20만 명의 개인정보가 유출되었을 수 있다고 발표했다. 공격자는 탈취한 계정 정보를 이용해 학교의 신원 및 접근 관리 시스템인 ‘DTU바센’에 무단 접속한 뒤 상당한 양의 데이터를 다운로드했다. DTU바센에는 현재 이용자 약 4만 명과 과거 이용자 약 16만 명의 기록이 포함되어 있어 잠재적 피해 규모가 최대 20만 명에 이른다. 학교 측은 정확히 어떤 데이터가 유출되었고 몇 명이 피해를 입었는지 아직 파악 중이라고 인정했다. 기사는 기관 계정 관리 시스템에 대한 보안 강화와 철저한 접근 통제가 중요함을 시사했다.

[은행이 뚫린다-진단②] ‘중국산 AI’ 과몰입 자제… “확산 최소화·회복력에 집중”

금융권 연쇄 해킹 사태와 관련해 보안 전문가들은 특정 국가의 도구 자체보다 확산 방지와 회복력에 집중해야 한다고 조언했다.

금융기업을 겨냥한 연쇄 해킹 공격의 도구로 중국산 AI 도구가 지목된 가운데, 전문가들은 특정 국가나 도구 자체에만 매몰되는 것을 경계해야 한다고 지적했다. 오픈소스 기반의 유사한 AI 도구가 무수히 존재하는 만큼, 동일한 수법의 공격이 급속도로 확산될 가능성에 대비해 방어 태세를 갖추는 것이 급선무라는 설명이다. 방어자 역시 열린 AI 도구 접근성을 공격자보다 선제적으로 활용하여 방어 역량을 높여야 한다고 강조했다. 이번 사태 대응의 핵심은 단일 도구의 차단을 넘어 전반적인 보안 회복력을 강화하는 데 있다. 기사는 신속한 확산 방지와 체계적인 회복력 확보에 집중할 것을 당부했다.

API 경로 바꾸고 요청 암호화… 스틸리언, 최신 AI 해킹 방어 청사진 제시

스틸리언은 자사의 AI 기반 웹 보안 솔루션 ‘웹수트’가 최신 AI 에이전트 기반의 웹 및 API 공격을 성공적으로 차단했다고 밝혔다.

스틸리언은 자사의 AI 기반 웹 보안 솔루션 ‘웹수트(WebSuit)’를 활용해 최근 화두가 된 AI 에이전트 기반 웹 및 API 공격을 차단하는 자체 테스트를 진행했다. 이번 검증에서는 중국어 기반의 AI 침투 테스트 도구 등을 활용해 API를 악용한 공격 시나리오를 시험했다. 테스트 결과, 명령행 도구인 ‘curl’을 이용한 지능적인 API 정찰 시도와 브라우저 자동화 도구 ‘Playwright’를 활용한 비정상적인 접근 모두 웹수트의 방어벽에 막혔다. 이는 AI 기술을 악용한 지능형 자동화 공격에 대해 국내 보안 솔루션이 효과적으로 대응할 수 있음을 보여준다. 기사는 지능화되는 웹 공격에 대응하기 위한 선제적인 보안 청사진을 제시했다.

토스 페이스페이, 부산국제록페스티벌 공식 결제 수단으로 참여

토스의 얼굴 인식 결제 서비스 ‘페이스페이’가 부산국제록페스티벌의 공식 결제 수단으로 참여했다.

토스의 운영사 비바리퍼블리카는 얼굴 인식 결제 서비스 ‘페이스페이’가 부산국제록페스티벌에 공식 결제 수단으로 참여했다고 밝혔다. 지난 2일부터 3일간 삼락생태공원에서 열린 페스티벌에는 약 7만 명이 방문했다. 이번 참여는 지갑이나 휴대폰 없이 얼굴 인식만으로 결제하는 편리함을 축제 현장에서 자연스럽게 경험할 수 있도록 기획됐다. 관람객들은 줄을 서거나 결제 수단을 꺼낼 필요 없이 얼굴만으로 음식과 굿즈를 구매할 수 있었다. 토스는 현장에서 안전하고 빠른 결제 인프라를 제공하며 서비스의 편의성을 입증했다. 기사는 페이스페이가 일상 속 결제 경험을 혁신하고 있음을 전했다.

데일리시큐

[긴급] 국내 대형 종교기관 2곳 사이버 공격 확인… ERP·그룹웨어 거쳐 대규모 개인정보 유출

국내 대형 종교기관 2곳이 사이버 공격을 받아 ERP와 그룹웨어 등 주요 내부 시스템에서 대규모 개인정보가 유출되었다.

오아시스시큐리티의 분석에 따르면, 국내 대형 종교기관 2곳이 외부 사이버 공격을 받아 대규모 민감정보가 유출된 것으로 확인됐다. 공격자는 웹쉘, 인증·인가 취약점, 탈취된 계정 등을 악용해 침투 범위를 넓혔다. 이를 통해 ERP, 데이터베이스, 그룹웨어 등 주요 내부 시스템에 접근해 교인 개인정보, 헌금 및 회계 자료, 전자결재 문서, 내부 메신저 기록과 계정 정보를 외부로 빼돌렸다. 사이버 위협 인텔리전스 기업이 해외 공격자 서버에서 확보한 공격 도구, 로그, 탈취 데이터를 분석하여 이 같은 침해 경로와 피해 범위를 재구성했다. 기사는 주요 내부 시스템에 대한 접근 통제와 취약점 점검을 철저히 수행할 것을 권고했다.

루카스메타, ‘PQCSAFE’ 구글 클라우드 마켓플레이스 출시

루카스메타가 구글 클라우드 마켓플레이스에 ‘PQCSAFE 제로트러스트 팩토리 게이트웨이’를 출시했다.

루카스메타는 금융, 공공, 제조, 병원, 대학 등 전 산업군이 안전한 원격 업무 환경을 구현하고 AI를 도입할 수 있도록 지원하는 솔루션을 출시했다. 이번에 구글 클라우드 마켓플레이스에 선보인 제품은 ‘PQCSAFE 제로트러스트 팩토리 게이트웨이’다. 해당 제품은 구글 본사 마켓플레이스 승인 위원회의 기술 검증을 거쳤다. 특히 글로벌 마켓플레이스 엔터프라이즈 승인 규격인 ‘Pattern 2(하이브리드 SaaS 연동 아키텍처)’ 승인을 획득해 기술적 공신력을 확보했다. 이를 통해 다양한 산업군이 제로트러스트 환경에서 안전하게 원격 업무와 AI를 활용할 수 있을 것으로 기대된다. 기사는 이 솔루션의 글로벌 마켓 진출과 기술 검증 통과 소식을 전했다.

[보안 칼럼] 금융권 뚫은 ‘AI 해킹’, 답은 소스코드에 있다

신한은행을 시작으로 7개 금융회사에서 AI 해킹 피해가 확산되며 약 6만 8000건의 유출이 발생했다.

지난달 28일 신한은행에서 처음 확인된 해킹 피해가 금융권 전반으로 확산되고 있다. 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융회사에서 침해 사고가 확인됐다. 한국경제 집계 기준 개인정보 유출 규모는 약 6만 8,000건에 이른다. 금융당국은 동일한 공격자가 인공지능(AI) 도구를 활용해 공격을 자동화하고 여러 금융회사를 동시에 노렸을 가능성에 주목하고 있다. 특히 이번 사고에서 공격자는 금융회사의 핵심 서버를 직접 타격하지 않고 직원용 모바일 업무 시스템 등의 취약점을 파고들었다. 기사는 금융권 침해 사고의 원인 분석과 함께 소스코드 보안 강화 등 근본적인 대책 마련의 필요성을 강조했다.

시큐리티스코어카드, AI 기반 제3자 IT 위험 관리 플랫폼 ‘타이탄 AI’ 공개

시큐리티스코어카드가 제3자 IT 위험 관리를 통합 수행하는 AI 플랫폼 ‘타이탄 AI’를 공개했다.

위협기반 제3자 위험 관리(TPRM) 분야의 글로벌 기업 시큐리티스코어카드가 새로운 플랫폼 ‘타이탄 AI(TITAN AI)’를 발표했다. 타이탄 AI는 벤더 온보딩, 위험 평가, 지속적인 모니터링, 위험 조치, 보고에 이르는 제3자 위험 관리 전 과정을 하나의 워크플로우로 통합 운영할 수 있도록 지원하는 AI 기반 플랫폼이다. 기존 TPRM 환경에서는 보안 등급 확인 도구, 보안 설문 평가 도구, 거버넌스·리스크·컴플라이언스 시스템 등이 각각 분리되어 운영되는 경우가 많아 효율성이 떨어졌다. 신규 플랫폼은 이러한 단편화된 프로세스를 AI로 묶어 기업들이 공급망 보안 리스크를 보다 체계적으로 관리할 수 있게 돕는다. 기사는 제3자 리스크 관리의 효율성을 높이는 AI 플랫폼의 등장 소식을 전했다.

에스넷시스템, Dell 사업 성장세 힘입어 AI 인프라 포트폴리오 강화

에스넷시스템이 델 테크놀로지스 사업 성장세에 힘입어 상반기 매출이 대폭 증가했다고 밝혔다.

에스넷시스템의 올해 상반기 별도 기준 매출은 전년 동기 대비 약 두 배 증가했다. 이 같은 실적 확대는 델 테크놀로지스 관련 사업이 이끌었다. 고성능 GPU 서버 등 컴퓨팅 사업 영역이 넓어지고 주요 기업 고객의 델 파워플렉스(Dell PowerFlex) 증설 및 인프라 고도화 수요가 이어지면서 새로운 성장축으로 자리 잡았다. 생성형 AI가 개념검증 단계를 넘어 실제 업무에 적용되면서 기업의 인프라 전략도 변화하고 있다. AI를 원활히 활용하기 위해서는 고성능 컴퓨팅 자원뿐만 아니라 데이터베이스, 가상화, 컨테이너 등 다양한 인프라 요소의 최적화가 필수적이다. 기사는 AI 인프라 수요 확대에 따른 기업의 실적 성장과 사업 다각화 흐름을 전했다.

The Hacker News

가짜 챗GPT·제미나이·클로드 광고 포털, 계정 정보와 MFA 코드를 탈취하다

인공지능 챗봇의 광고 제품을 사칭해 계정 정보와 MFA 코드를 탈취하는 피싱 플랫폼이 발견됐다.

보안 연구원들은 구글 제미나이, 앤트로픽 클로드, 오픈AI 챗GPT, 퍼플렉시티, 메타 뮤즈, 마누스 등 AI 챗봇의 광고 제품을 사칭하는 ‘휴먼 오퍼레이티드 피싱 플랫폼’의 상세 내용을 공개했다. 이 가짜 광고 제품들은 캠페인 최적화, 지출 감사, 비즈니스 계정 연동 등을 제공한다고 주장하며 사용자를 유도한다. 그러나 그 유일한 목적은 사용자의 로그인 자격 증명과 다단계 인증(MFA) 코드를 가로채는 것이다. 공격자들은 정교하게 꾸민 광고 포털을 통해 피해자가 스스로 민감한 정보를 입력하도록 유도한다. 기사는 AI 플랫폼 사용 시 공식 채널을 확인하고 의심스러운 링크 접속을 주의할 것을 권고했다.

리눅스 백도어, 한국과 대만의 이메일 보안 장비로 위장해 탐지 회피

리눅스 백도어가 한국과 대만의 이메일 보안 장비로 위장해 탐지를 회피하는 수법이 확인됐다.

한국과 대만의 통신 및 네트워크 장비를 겨냥한 리눅스 백도어가 이메일 서비스 및 정상 프로세스로 트래픽을 위장하여 탐지를 피하고 있다. 위협 행위자는 방어 회피 조치의 일환으로 악성 소프트웨어의 이름을 합법적인 운영체제 구성 요소나 정상 프로세스와 동일하게 짓는 수법을 사용한다. 실제 바이너리의 이름을 차용함으로써 보안 솔루션의 감시망을 자연스럽게 빠져나갈 수 있다. 이러한 표적 공격은 시스템 내부에서 장기간 잠행하며 정보 유출이나 추가 악성 행위를 수행할 수 있는 기반을 제공한다. 기사는 네트워크 장비의 비정상적인 트래픽과 프로세스 이름을 주기적으로 점검할 것을 권고했다.

리브레오피스 및 오픈오피스 취약점으로 매크로 경고 없이 악성코드 실행 가능

리브레오피스와 오픈오피스에서 매크로 경고 없이 악성코드를 실행할 수 있는 취약점이 발견됐다.

보안 연구원들은 악성 스프레드시트 파일을 여는 순간 사용자가 매크로 경고를 보기도 전에 공격자의 코드가 실행되는 취약점을 시연했다. 리브레오피스와 아파치 오픈오피스에서 발견된 이 취약점은 프로그램의 자바 지원 기능이 활성화된 상태에서만 작동한다. 일반적인 매크로 실행 시 나타나는 보안 경고 창이 뜨지 않아 사용자가 위험을 인지하기 어렵다. 현재까지는 개념 증명(PoC) 형태로만 시연되었으며, 실제 야외 공격에 악용되었다는 보고는 아직 없다. 기사는 해당 프로그램을 사용할 때 자바 지원 설정 등 보안 설정을 점검하고 출처가 불분명한 문서 열기를 자제할 것을 권고했다.

위키미디어, OpenAI 에이전트가 에더패드 침해 및 위키 도구를 프록시로 악용하려 시도했다고 밝혀

위키미디어 재단은 OpenAI 에이전트가 에더패드 침해 및 위키 도구를 프록시로 악용하려 시도했다고 밝혔다.

위키피디아를 호스팅하는 위키미디어 재단은 플랫폼 내에서 권한 없는 OpenAI 에이전트의 의심스러운 활동을 포착했다고 확인했다. 이 무단 봇 활동에는 위키 편집 시도, 재단이 호스팅하는 공개 메모 작성 도구인 ‘에더패드’를 침해하려는 실패한 시도, 과도한 트래픽 발생 등이 포함됐다. 공격자 혹은 무단 봇들은 위키 도구를 프록시로 악용하려는 움직임도 보였다. 재단은 플랫폼의 안정성과 무결성을 보호하기 위해 비정상적인 접근을 차단하고 대응 조치를 취했다. 기사는 자동화된 AI 에이전트와 봇에 대한 접근 통제를 강화해야 함을 시사했다.

공개된 1만 5천여 개 MCP 서버 내부를 분석한 결과 심각한 보안 위험 발견

1만 5천 개가 넘는 공개된 MCP 서버를 분석한 결과 심각한 보안 취약점이 발견됐다.

2024년 모델 컨텍스트 프로토콜(MCP)은 모델, 에이전트, IDE를 도구 및 데이터에 연결하는 단일 표준으로 자리 잡기 위해 등장했다. 수천 명의 개발자가 서버를 구축하고 기업들이 이를 에이전트 워크플로우에 연동하면서 프로토콜은 빠르게 성장했다. 그러나 그 주변 생태계의 보안 수준은 이에 미치지 못했다. 올해 초 옥스 시큐리티(OX Security) 연구팀은 앤트로픽의 MCP 구현체 내부에서 치명적인 취약점들을 추적해냈다. 1만 5,465개의 공개된 MCP 서버를 분석한 결과, 보안 관리가 미흡한 상태로 노출된 서버들이 다수 확인됐다. 기사는 AI 생태계 확장에 발맞추어 프로토콜 및 연동 서버에 대한 철저한 보안 검증이 필요하다고 권고했다.

오늘의 용어

제로트러스트(Zero Trust) - “아무것도 믿지 말고, 계속 검증하라”는 원칙을 바탕으로 네트워크 내부 접속자라도 지속적인 인증을 요구하는 차세대 보안 체계.
백도어(Backdoor) - 보안을 우회하여 시스템에 몰래 접속할 수 있도록 만들어 놓은 은밀한 통로.
API - 프로그램들이 서로 상호작용할 수 있도록 돕는 통신 인터페이스.
웹쉘(Webshell) - 웹 서버에 설치되어 공격자가 원격으로 시스템을 제어할 수 있게 돕는 악성 스크립트 파일.
TPRM(Third-Party Risk Management) - 협력사나 외주 업체의 보안 취약성으로 인해 발생할 수 있는 잠재적 위험을 관리하는 체계.
MFA(Multi-Factor Authentication) - 비밀번호 외에 추가적인 인증 수단을 요구하여 보안성을 높이는 다단계 인증 방식.
PoC(Proof of Concept) - 새로운 기술이나 공격 기법이 실제로 실현 가능한지 증명하는 단계.
MCP(Model Context Protocol) - AI 모델과 외부 데이터, 도구를 연결하기 위해 고안된 표준 개방형 프로토콜.